MCP工具

域名情报查询

工具名称：query_domain

功能描述：域名多维情报查询

快速研判建议：["dns", "whois", "self_intelligence", "file_reputation"]。

{
  "domain": "example.com",
  "sections": [
    "dns",
    "whois"
  ],
  "limit": 10,
  "dns_record_type": "A"
}

IP情报查询

工具名称：query_ip

功能描述：IP / IP:Port 多维情报查询

快速研判建议：["base", "self_intelligence", "files"]。

{
  "indicator": "1.2.3.4:443",
  "sections": [
    "base",
    "self_intelligence",
    "files"
  ],
  "limit": 10
}

URL情报查询

工具名称：query_url

功能描述：HTTP/HTTPS URL 情报查询

维度依次覆盖自有情报、文件样本、快照、同源关系、下载链、主机信息和公开报告关联。

快速研判建议：["host", "self_intelligence"]。

{
  "url": "https://example.com/path",
  "sections": [
    "host",
    "self_intelligence"
  ],
  "limit": 10
}

文件情报查询

工具名称：query_file

功能描述：文件 Hash 情报查询

快速研判建议：["reputation", "self_intelligence"]。

{
  "file_hash": "44d88612fea8a8f36de82e1278abb02f",
  "sections": [
    "reputation",
    "self_intelligence"
  ],
  "limit": 10
}

四类直接查询均不再接受 overview、related_iocs；域名和 URL 不提供 vt 维度。

all 表示完整查询；需要补查时显式指定相关维度，不要反复请求全部维度。

测绘情报查询

工具名称：search_internet_assets

功能描述：Quake DSL 互联网资产候选搜索

使用大写 AND、OR、NOT 和括号组合条件，查询值建议用英文双引号。

常用字段包括 ip、domain、hostname、port、service、app、app_version、org、country、cert、title 等。

{
  "query": "hostname:\"example.com\" AND port:\"443\"",
  "limit": 10
}

返回 schema_version、contract_revision、query、total、items、truncated。

items 为资产候选数组；total 优先使用上游总量，缺失时回退为本次原始记录数，不能始终当作精确全网总量。

匹配结果不能直接证明资产归属；产品版本匹配不能证明漏洞存在或已被利用。

APT组织查询

工具名称：query_apt_group

功能描述：APT 组织名称或代号模糊查询

{
  "keyword": "海莲花",
  "type": "name",
  "articles_limit": 5
}

返回动态关键词到组织数组的映射（dict[str, list[object]]），不是通用查询 envelope。

组织字段包括 id、name、code、alias、description、first_found_at、attack_method、attack_industry、

attack_region、report、location、observed_at、articles、articles_total、articles_truncated。

缺失的组织字段可以为 null；无匹配时可返回空字典或关键词对应的空数组。

文章包含 title、summary、released_at、url、relation_basis，按发布时间倒序并去重。

缺少关联依据时，relation_basis 为“未提供文章与组织的关联依据”，不能据此直接归因。

漏洞情报查询

工具名称：query_vulnerability

功能描述：按漏洞编号查询详情

{
  "vulnerability_id": "CVE-2024-50168",
  "references_limit": 10
}

返回 schema_version、contract_revision、query、status、data、attempts、observed_at、warnings、elapsed_ms。

query 包含 raw、normalized、type；status 为 success、empty、failed 或 timeout。

data 提供漏洞标题、描述、等级、影响产品版本、修复与参考链接等详情，无可用详情时为 null。

参考链接去重后优先保留明确的官方链接及修复文本中的链接；使用 references_total 和 references_truncated 表示总量与截断。

仅 CVE 在主查询无记录、失败或超时时尝试备用查询。

attempts 为查询尝试数组，attempt 区分 primary 与 fallback，并保留状态、采集时间、耗时和适用的错误信息。

公开报告检索

工具名称：search_public_reports

功能描述：公开安全报告检索

全部参数可省略。未提供筛选时，默认返回按发布时间倒序排列的前 10 条报告。

攻击动机枚举：StrategicGeopolitical、FinancialGain、IntelligenceCollection、IdeologicalAdvocacy、PersonalMotivation、Other、Unknown。

事件分类枚举：AttackActivity、ExposureIncident、MalwareAnalysis、AttackChainTTP、ThreatActorProfile、VulnerabilityAnalysis、SecurityAlert、InfrastructureAnalysis、Other、Unknown。

{
  "keyword": "勒索",
  "primary_attack_motivations": [
    "FinancialGain"
  ],
  "publish_time_start": "2026-09-01T00:00:00Z",
  "publish_time_end": "2026-09-20T00:00:00Z",
  "sort_by": "publish_time",
  "limit": 10
}

返回外层字段：schema_version、contract_revision、status、query、data、observed_at、warnings、elapsed_ms。

status 为 success、empty、failed、timeout；无匹配时 data.items=[]，失败或超时时 data=null。

data 包含 items、limit、truncated。不支持分页，不提供 page、匹配 total 或 record_kind 参数。

items 中每条摘要包含报告 ID、标题、摘要、链接、发布者、发布时间、更新时间、威胁分类、受影响对象、IOC 统计和 PDF 可用性等字段。

对应键名包括：

report_id, title, summary, url, publisher, publish_time, updated_at,
threat_types, event_category, importance, primary_attack_motivation,
threats, affected, ioc_count, ioc_type_counts, is_ai_threat, pdf_available

affected 按 industries、regions、companies、systems 组织已知信息。

pdf_available 只说明 PDF 是否可用，不提供内部存储路径。

公开报告详情查询

工具名称：get_public_report

功能描述：报告详情及可选 IOC 明细

ioc_types 支持：ip、domain、ip:port、domain:port、url、md5、sha1、sha256、ipv6、cve。

以下 ID 仅用于格式展示，调用时替换为查询得到的报告 ID：

{
  "report_id": "507f1f77bcf86cd799439011",
  "include_iocs": true,
  "ioc_types": [
    "domain",
    "ip"
  ],
  "ioc_limit": 20
}

外层字段与公开报告搜索一致。无对应报告时 status="empty"、data=null。

成功时 data 包含：

返回精简详情，不返回完整报告正文、原始 STIX、内部来源或存储路径。

域名溯源

工具名称：trace_domain

功能描述：域名一跳关联溯源

四个工具另有可选参数 limit：integer，默认 10，范围 1–20。

不接受 sections、dns_record_type、recent_days 或 recent_months 参数。

{
  "domain": "example.com",
  "limit": 5
}

此示例作为 trace_domain 的 arguments 使用。

溯源已经包含根 IOC 查询，只展开一跳；limit 按每类关系生效，不是全部关联节点的总量上限。

各关系实际选取上限为下表值与 limit 的较小者：

根域名查询 DNS、WHOIS、自有情报、通信文件信誉；根 IP 查询基础信息、PDNS、自有情报、通信文件；

根 URL 查询主机、自有情报、文件、下载链、同源；根文件查询信誉和自有情报。

关联节点使用对应类型的核心维度补全；IP 关联节点还会补充地理位置。

不根据网段自行推导或枚举 IP，也不继续展开第二跳。

当来源结果达到上限但未提供总量时，可能产生 POSSIBLE_TRUNCATION，不据此猜测遗漏条数。

IP溯源

工具名称：trace_ip

功能描述：IP / IP:Port 一跳关联溯源

四个工具另有可选参数 limit：integer，默认 10，范围 1–20。

不接受 sections、dns_record_type、recent_days 或 recent_months 参数。

溯源已经包含根 IOC 查询，只展开一跳；limit 按每类关系生效，不是全部关联节点的总量上限。

各关系实际选取上限为下表值与 limit 的较小者：

根域名查询 DNS、WHOIS、自有情报、通信文件信誉；根 IP 查询基础信息、PDNS、自有情报、通信文件；

根 URL 查询主机、自有情报、文件、下载链、同源；根文件查询信誉和自有情报。

关联节点使用对应类型的核心维度补全；IP 关联节点还会补充地理位置。

不根据网段自行推导或枚举 IP，也不继续展开第二跳。

当来源结果达到上限但未提供总量时，可能产生 POSSIBLE_TRUNCATION，不据此猜测遗漏条数。

URL溯源

工具名称：trace_url

功能描述：URL 一跳关联溯源

四个工具另有可选参数 limit：integer，默认 10，范围 1–20。

不接受 sections、dns_record_type、recent_days 或 recent_months 参数。

溯源已经包含根 IOC 查询，只展开一跳；limit 按每类关系生效，不是全部关联节点的总量上限。

各关系实际选取上限为下表值与 limit 的较小者：

根域名查询 DNS、WHOIS、自有情报、通信文件信誉；根 IP 查询基础信息、PDNS、自有情报、通信文件；

根 URL 查询主机、自有情报、文件、下载链、同源；根文件查询信誉和自有情报。

关联节点使用对应类型的核心维度补全；IP 关联节点还会补充地理位置。

不根据网段自行推导或枚举 IP，也不继续展开第二跳。

当来源结果达到上限但未提供总量时，可能产生 POSSIBLE_TRUNCATION，不据此猜测遗漏条数。

文件溯源

工具名称：trace_file

功能描述：文件 Hash 一跳关联溯源

四个工具另有可选参数 limit：integer，默认 10，范围 1–20。

不接受 sections、dns_record_type、recent_days 或 recent_months 参数。

溯源已经包含根 IOC 查询，只展开一跳；limit 按每类关系生效，不是全部关联节点的总量上限。

各关系实际选取上限为下表值与 limit 的较小者：

根域名查询 DNS、WHOIS、自有情报、通信文件信誉；根 IP 查询基础信息、PDNS、自有情报、通信文件；

根 URL 查询主机、自有情报、文件、下载链、同源；根文件查询信誉和自有情报。

关联节点使用对应类型的核心维度补全；IP 关联节点还会补充地理位置。

不根据网段自行推导或枚举 IP，也不继续展开第二跳。

当来源结果达到上限但未提供总量时，可能产生 POSSIBLE_TRUNCATION，不据此猜测遗漏条数。